bitdefender硬盘加密通过集成windows bitlocker和macos filevault实现系统级全盘加密，不支持文件级加密；需在gravityzone中启用策略并分配设备组，终端重启后自动执行加密，过程中禁止强制断电。
Bitdefender本身不提供单独的“文件级加密”功能，它通过集成操作系统原生加密机制来保护数据——在Windows上依赖BitLocker，在macOS上依赖FileVault。配置目标不是加密单个文档，而是让Bitdefender统一策略启用并管控这些系统级加密模块。
确认Bitdefender硬盘加密模块已部署
登录GravityZone控制中心 → 左侧导航栏点击【策略】→ 在“端点保护策略”列表中找到当前生效的策略 → 点击编辑 → 切换到“硬盘加密”选项卡。
确保“启用硬盘加密”开关已打开；若为灰色不可用状态，说明该策略未分配给任何设备组，或终端未安装含加密模块的Bitdefender代理（如仅安装了基础防病毒包）。
这一步必须完成，否则后续所有配置都不会生效——【未启用策略即等于未开启加密】。
为Windows设备配置BitLocker加密策略
在同一个“硬盘加密”策略页中，向下滚动至“Windows设置”区域：
方法一：使用TPM芯片自动加密（推荐）
勾选“启用BitLocker（使用TPM）”，并选择“新加密模式”；勾选“要求启动时验证TPM状态”，启用预启动身份验证；恢复密钥默认保存至GravityZone，无需手动导出。
方法二：无TPM芯片时强制密码解锁
取消勾选“使用TPM”，勾选“要求密码解锁驱动器”；设置密码复杂度要求（如最小长度、必须含大小写字母+数字）；注意：此模式下首次启动会进入BitLocker初始化界面，用户需手动输入密码两次才能开始加密。
方法三：与AD域集成（仅限域环境）
勾选“将恢复密钥备份到Active Directory”，同时启用“使用组策略对象（GPO）部署加密设置”；此时GravityZone不再接管密钥存储，改由域控制器管理。
触发终端加密执行
第一步：在GravityZone中为设备组分配已编辑的硬盘加密策略 → 等待策略同步（通常10分钟内）。
第二步：终端用户需重启一次Windows系统 → 重启后BitLocker开始后台加密，进度可在“控制面板 → BitLocker驱动器加密”中查看。
第三步：加密过程中用户可正常使用电脑，但【禁止强制关机或拔电源，否则可能损坏卷头导致数据不可恢复】；若中途断电，下次开机将自动从断点继续，无需人工干预。
第四步：加密完成后，该设备所有受策略覆盖的驱动器（如C盘、D盘）均处于锁定状态，每次启动需预引导密码或TPM验证。
